信息服務(wù)安全管理規(guī)范

1、管理制度示范文本 | Excellent Model Text 資料編碼：CYKJ-FW-341編號：_信息服務(wù)安全管理規(guī)范審核：_時間：_單位：_信息服務(wù)安全管理規(guī)范用戶指南：該管理制度資料適用于要求所有成員按章辦事，行為有所規(guī)范，并在日積月累、反復(fù)實踐的過程中形成一種良好的風(fēng)氣和優(yōu)良的學(xué)習(xí)、工作習(xí)慣，最終推動整體效率和產(chǎn)能提升?？赏ㄟ^修改使用，也可以直接沿用本模板進行快速編輯。1 目的保護組織的信息系統(tǒng)被外部方訪問時的安全，保證公司信息系統(tǒng)安全水平不會因為外部方訪問、提供產(chǎn)品和服務(wù)而降低；及時、有效、可控的管理外部方所提供的服務(wù)質(zhì)量、服務(wù)交付和安全狀況，規(guī)范公司外部方服務(wù)管理相關(guān)的流程及安

2、全要求。2 適用范圍適用于對所有訪問公司信息系統(tǒng)外部方的安全管理，以及對外部方服務(wù)的管理。3 術(shù)語和定義第三方服務(wù)：因業(yè)務(wù)或其它原因，對組織信息系統(tǒng)進行訪問、操作、服務(wù)的外部組織。4 職責(zé)和權(quán)限4.1 信息安全領(lǐng)導(dǎo)辦公室負責(zé)對組織所有外部方進行統(tǒng)一管理；識別外部方訪問或服務(wù)時的風(fēng)險；負責(zé)對第三方訪問機密信息訪問的審批和管理。4.2 各部門協(xié)助信息安全領(lǐng)導(dǎo)辦公室做好對外部方服務(wù)的管理和監(jiān)督。5 相關(guān)活動5.1 第三方服務(wù)需求確定根據(jù)業(yè)務(wù)工作需要，由各部門提出第三方服務(wù)需求，并由XXX部匯總后報信息安全領(lǐng)導(dǎo)辦公室審批。服務(wù)需求內(nèi)容除服務(wù)內(nèi)容、水平和要求外，還應(yīng)明確是否涉及訪問公司的機密級信息。5.

3、2 第三方服務(wù)安全管理5.3.1公司與第三方服務(wù)方應(yīng)簽訂相關(guān)服務(wù)協(xié)議，在協(xié)議中明確服務(wù)內(nèi)容、服務(wù)水平、信息安全要求等內(nèi)容。5.3.2對組織的秘密信息一般不允許外部方進行訪問。特殊情況下，必須經(jīng)信息安全領(lǐng)導(dǎo)辦公室審核后，經(jīng)副總經(jīng)理批準(zhǔn)后方可訪問。在新建、改建、擴建信息系統(tǒng)時，如確需對公司的信息系統(tǒng)進行訪問，應(yīng)由接待部門提出申請，經(jīng)信息安全領(lǐng)導(dǎo)辦公室批準(zhǔn)后，僅限訪問公司的內(nèi)部(含)以下內(nèi)部的信息。接等部門在提出申請時，需要明確如下內(nèi)容：外部方的基本情況、訪問的范圍、所涉及公司內(nèi)部信息的安全級別、訪問信息系統(tǒng)的時限等。信息安全領(lǐng)導(dǎo)辦公室對提出的申請，進行評審，識別存在的安全風(fēng)險，必要時制定相應(yīng)的控制措施。如：l 對外部方所能訪問的信息進行限制；l 對外部方訪問公司信息系統(tǒng)的過程進行監(jiān)控；l 與外部方簽署安全保密協(xié)議。5.3.3信息系統(tǒng)的日常維護由公司的XXX部門負責(zé)，如需要外部方進行技術(shù)支持，先提出申請，經(jīng)批準(zhǔn)后方可實施，且必須有公司人員現(xiàn)場陪同，防止信息泄露。5.3.4第三方服務(wù)常駐人員必須經(jīng)公司的人力資源部審核，并與公司簽訂相關(guān)保密協(xié)議。5.3.5第三方對信息系統(tǒng)的訪問，信息系統(tǒng)管理部門應(yīng)做好監(jiān)控記錄并予以保存。5.3 第三方服務(wù)的評審和變更公司每年對第三方服務(wù)進行一次評審。由于某種原因，需要更換第三方服務(wù)，由相關(guān)部門提